ChatGPT te rastrea fuera del chat: cómo comprobarlo y evitarlo
OpenAI usa la cookie __obi para vincular tu cuenta de ChatGPT con tu navegación externa. Te contamos cómo comprobarlo y cómo proteger tu privacidad.
👁 112 lecturas
Una investigación técnica detallada por Niebezpiecznik ha revelado el mecanismo publicitario de OpenAI: en chatgpt.com se genera un identificador vinculado a tu cuenta que se almacena en la cookie __obi bajo el dominio .openai.com y se envía a las webs de las empresas que compran publicidad en ChatGPT. En la práctica, esto implica que una consulta sobre salud o finanzas y tu navegación por tiendas online pueden compartir un punto de conexión directo. Puedes verificarlo tú mismo en el navegador y conviene decidir qué medidas tomar.
Qué significa esto para tu privacidad
La tecnología subyacente no es nueva: son los mismos píxeles de seguimiento que los comercios integran desde hace años para Meta o Google. Lo novedoso es el entorno en el que se ha implementado. Muchas personas escriben en un chat de inteligencia artificial datos que jamás publicarían en redes sociales: síntomas médicos, deudas o litigios judiciales. Según el análisis de Niebezpiecznik, OpenAI clasifica __obi como cookie analítica, lo que significa que se activa incluso si rechazas el consentimiento publicitario en el banner de cookies. Este detalle es crítico: pulsar en «rechazar publicidad» puede no frenar este rastreo.
Nuestra conclusión práctica: si utilizas ChatGPT para tratar temas sensibles, no asumas que esa conversación está aislada del resto de tu actividad en internet. No porque alguien vaya a hacer públicos tus mensajes, sino porque el contexto de tu cuenta y el de tu navegación dejan de ser dos compartimentos estancos.
Cómo funciona el rastreo en tres pasos
La cadena técnica identificada en la investigación consta de tres fases muy claras:
- En chatgpt.com se crea un identificador vinculado a tu cuenta y se guarda en la cookie
__obidentro de.openai.com, con el atributoSameSite=Noney una caducidad de un año. La directivaSameSite=Nonees justo el parámetro que permite que la cookie viaje adjunta a peticiones realizadas hacia otros sitios web. - El anunciante integra en su web el SDK de OpenAI, alojado en
bzrcdn.openai.com. - Tu navegador adjunta
__obien la misma solicitud de descarga de ese script: ocurre nada más entrar a la página, sin necesidad de que hagas ningún clic.
Además, el mecanismo sigue funcionando aunque cierres sesión: el identificador anónimo es persistente y se mantiene durante al menos 27 días. Salir de tu cuenta no elimina el seguimiento.
Qué datos recopila el SDK en las páginas de anunciantes
Según el informe, el SDK extrae datos destinados a fijar la identidad del usuario: campos de formularios, texto de la página y la capa de datos del gestor de etiquetas (window.dataLayer). Los correos electrónicos y números de teléfono se envían procesados mediante hash SHA-256. El país, la región, la ciudad y el código postal viajan en texto plano.
El hash del correo puede sonar seguro, pero en el sector publicitario es el estándar para el cruce de identidades: un mismo email procesado con el mismo algoritmo genera la misma cadena alfanumérica, permitiendo unificar perfiles entre distintas plataformas. No es una anonimización real, sino una seudonimización.
Entre las URL analizadas por el investigador se detectaron páginas sobre diagnósticos de salud, renegociación de deudas y formularios para demandas judiciales. OpenAI mantiene una lista de exclusión de campos sensibles -como contraseñas, números de tarjeta o historial médico-, pero la propia ruta de la URL, que revela con exactitud la página visitada, no forma parte de esas exclusiones.
La escala observada abarca 936 píxeles de anunciantes repartidos en 1029 dominios, entre los que figura Coursera. El autor del análisis envió consultas formales a OpenAI el 14 de septiembre; el equipo de soporte registró la incidencia, pero no respondió a ninguna de las preguntas planteadas.
El navegador influye más que los ajustes del chat
Las pruebas se llevaron a cabo en Chrome para Android. En un iPhone el mecanismo no funciona, ya que todos los navegadores en iOS utilizan el motor WebKit, que bloquea las cookies de terceros por defecto. La elección del dispositivo y del motor de navegación tiene aquí más impacto que cualquier ajuste interno de la plataforma.
| Configuración | ¿Funciona la cookie __obi? | Qué implica para ti |
|---|---|---|
| Chrome en Android | Sí (confirmado en el análisis) | Requiere intervención manual: bloqueos, perfiles aislados o gestión de cookies |
| Cualquier navegador en iPhone (WebKit) | No (bloqueo de cookies de terceros) | Quedas al margen de este seguimiento por defecto |
| Chrome o Edge en escritorio | No especificado en el estudio | Comprueba tu caso con los pasos indicados abajo |
| Firefox o Safari en escritorio | No especificado en el estudio | Cuentan con aislamiento nativo de cookies, pero conviene verificarlo |
Subrayamos que el informe original no aporta pruebas concluyentes para navegadores de escritorio, por lo que es preferible comprobarlo directamente en cada caso.
El conflicto con el RGPD y los banners de consentimiento
Bajo el marco del Reglamento General de Protección de Datos (RGPD), las cookies no estrictamente necesarias requieren un consentimiento explícito previo. El conflicto radica en la catalogación técnica: si OpenAI categoriza __obi como cookie analítica mientras los datos se emplean para vincular identidades y segmentar anuncios, tu rechazo a los banners publicitarios en una tienda online podría no impedir que la cookie se siga transfiriendo.
Esta lectura corresponde a nuestro análisis técnico a partir de las evidencias publicadas; no existe por el momento un dictamen formal de las autoridades de protección de datos sobre este caso concreto.
Para cualquier empresa que opere en la Unión Europea, integrar el SDK publicitario de OpenAI implica corresponsabilidad sobre la información que se transmita desde sus formularios y desde el dataLayer hacia terceros.
Cómo comprobarlo y protegerte paso a paso
- Revisa si tienes la cookie activa. Entra en chatgpt.com, abre las herramientas para desarrolladores (F12 en escritorio), ve a la pestaña Application (o Almacenamiento), despliega la sección Cookies y entra en el dominio
.openai.com. Busca__obiy examina su fecha de caducidad y el atributo SameSite. - Comprueba si se transmite a sitios de terceros. Con las herramientas de desarrollador abiertas, dirígete a la pestaña Network (Red), accede a un gran comercio online o plataforma educativa y aplica un filtro por
openaiobzrcdn. Si aparece una llamada haciabzrcdn.openai.com, pulsa en ella y comprueba en la cabecera de la petición si incluyeCookie: __obi. - Revisa la configuración de privacidad en ChatGPT. Accede a Settings (Ajustes), entra en las secciones relativas a datos y personalización, y desactiva las opciones de anuncios, personalización y uso de actividad. OpenAI suele modificar los nombres de estos apartados, de modo que conviene revisar el panel completo. El estudio original no confirma que exista un interruptor específico para desactivar
__obi, así que debes considerarlo una reducción de riesgos y no una solución definitiva. - Aísla tus sesiones de chat. Utiliza ChatGPT dentro de un perfil de navegador exclusivo o mediante contenedores dedicados. Es el método más seguro y funciona al margen de cómo clasifique OpenAI sus cookies.
- Activa el bloqueo de cookies de terceros. En Chrome para Android, entra en Ajustes, Privacidad y seguridad, Cookies de terceros y bloquéalas. También puedes valorar el bloqueo del dominio
bzrcdn.openai.coma nivel de DNS o mediante extensiones de filtrado, teniendo en cuenta que las listas habituales podrían tardar en incorporarlo. - Elimina la cookie y programa su borrado. Borra las cookies asociadas a
openai.comy activa la limpieza automática de datos al cerrar el navegador. Recuerda que el identificador anónimo persiste hasta 27 días, por lo que cerrar sesión no resulta suficiente. - Separa tus consultas más delicadas. Si formulas preguntas sobre tratamientos médicos, finanzas o disputas legales, hazlo en un espacio completamente separado: una ventana de incógnito limpia, un perfil secundario o un dispositivo distinto.
- Si gestionas una web corporativa: audita los scripts integrados, revisa las variables expuestas en
window.dataLayery confirma que no estás transmitiendo correos, teléfonos ni detalles de compra hacia SDK publicitarios sin base legal válida.
Ninguna opción individual resuelve el problema por completo. La protección efectiva exige aislar el uso de la herramienta mediante perfiles separados, bloquear cookies de terceros y recordar que cerrar la sesión no detiene el seguimiento durante casi un mes.
Fuente
Niebezpiecznik.pl: ChatGPT wie, co robisz w sklepach internetowych i śledzi Twoje ruchy na innych stronach, 21.09.2026. Los datos sobre el volumen de píxeles, dominios implicados, parámetros técnicos de la cookie y la ausencia de respuesta por parte de OpenAI provienen de dicha investigación. Texto elaborado el 8.10.2026.
More on this from FULGOR
revista·IA y SEO: por qué la supuesta guerra entre ambos no existeCada pocos meses vuelve el titular de que la IA matará al SEO. Analizamos por qué no hay ninguna batalla real y cómo ambos mundos están condenados a entenderse.